Preskoči na vsebino

Obvestilo Informacijskemu pooblaščencu o kršitvi varnosti osebnih podatkov

Obvestilo, s katerim upravljavec Informacijskemu pooblaščencu prijavi kršitev varnosti osebnih podatkov — vdor, izgubo naprave, pošiljko napačnemu naslovniku, izbris zbirke. Odda se brez odlašanja, najpozneje v 72 urah po zaznani kršitvi. Razdelki sledijo obrazcu, ki ga objavlja Informacijski pooblaščenec.

BrezplačnoVnos in PDF v vašem brskalnikuPo uradnem obrazcu

Kako poteka postopek

  1. 1

    Najprej ugotovite, kaj se je zgodilo

    Rok 72 ur teče od zaznave kršitve, ne od njenega nastanka. Preden obvestite Informacijskega pooblaščenca, morate vedeti, kaj se je zgodilo, katerih podatkov in koliko posameznikov se kršitev dotika ter kakšne posledice so mogoče.

  2. 2

    Nato ocenite tveganje

    Tveganje se opredeli z verjetnostjo nastanka posledic in z resnostjo posledic za pravice in svoboščine posameznikov. Če je ocena nizka, obveščanje nadzornega organa ni obvezno — kršitev pa je treba vseeno dokumentirati in hraniti v lastni evidenci.

  3. 3

    Obvestilo oddajte tudi, če še nimate vsega

    Če v 72 urah ni mogoče zbrati vseh informacij, v roku oddajte predhodno obvestilo in ga kasneje dopolnite. Uradni obrazec za to ločeno ponuja izbiro med dokončnim in predhodnim obvestilom (33. člen, četrti odstavek Splošne uredbe).

  4. 4

    Posebej presodite obveščanje posameznikov

    Obveščanje posameznikov je ločena presoja z višjim pragom: veliko tveganje. Posameznike se obvesti neposredno; javno sporočilo je dopustno le, kadar bi neposredno obveščanje zahtevalo nesorazmeren napor (34. člen Splošne uredbe).

  5. 5

    Oddaja

    Izpolnjeno obvestilo se pošlje na naslov Informacijski pooblaščenec, Dunajska cesta 22, 1000 Ljubljana, ali na elektronski naslov prijava-krsitev@ip-rs.si. Obrazcu se priložijo dodatne informacije o kršitvi, pri čezmejni kršitvi pa tudi Priloga 2.

Popolnoma brezplačno

Izpolnite, prenesite PDF ali natisnite dokument. Brez registracije in brez skritih stroškov.

Korak 1 od 9

Pregled korakov

Upravljavec

Več informacij

Obveščanje je obveznost upravljavca. Obdelovalec, pri katerem se je kršitev zgodila, nadzornega organa ne obvešča sam.

Zakaj je to potrebno?

Obrazec IP zahteva osebo, ki ima informacije o kršitvi, ne nujno zakonitega zastopnika.

Zakaj je to potrebno?

Kontakt pooblaščene osebe je obvezna sestavina obvestila po tretjem odstavku 33. člena Splošne uredbe, kadar je pooblaščena oseba določena.

Sektor dejavnosti
Zakaj je to potrebno?

Razdelek Priloge 1 uradnega obrazca.

Izpolnjevanje in prenos PDF potekata v brskalniku. Ob osvežitvi strani se vnosi izbrišejo.

Sprotni predogledA4 · brezplačno

Uradno obvestilo o kršitvi varnosti osebnih podatkov

1. člen — Upravljavec in kontaktna oseba

Upravljavec: ________________, ________________.

Kontaktna oseba, ki ima informacije o kršitvi: ________________, elektronski naslov ________________, telefon ________________.

Pooblaščena oseba za varstvo osebnih podatkov: ________________.

Upravljavec deluje v ________________.

2. člen — Opis kršitve

________________

Kršitev je nastala dne ________________ in je bila zaznana dne ________________.

Časovnica od zaznave do tega obvestila: ________________

Vrsta kršitve: ________________.

Narava kršitve: ________________. Vzrok za kršitev je ________________.

3. člen — Ocena tveganja

Upravljavec je pred oddajo tega obvestila izvedel oceno tveganja kršitve varnosti, pri čemer je upošteval verjetnost za nastanek posledic in resnost posledic za pravice in svoboščine posameznikov.

Ocena tveganja: ________________.

Pojasnilo ocene: ________________

Verjetne posledice kršitve za posameznike: ________________

4. člen — Obseg kršitve

Kategorije posameznikov, ki jih kršitev zadeva: ________________.

Vrste osebnih podatkov, ki jih kršitev zadeva: ________________

Posebne vrste osebnih podatkov: ________________.

Približno število posameznikov, ki jih kršitev zadeva: ________________.

Evidence oziroma zbirke osebnih podatkov, ki jih kršitev zadeva: ________________.

5. člen — Ukrepi za zagotavljanje varnosti osebnih podatkov

Ukrepi, sprejeti pred kršitvijo: ________________

Ukrepi, sprejeti po kršitvi za odpravo posledic in ublažitev tveganj: ________________

6. člen — Obveščanje drugih organov

O kršitvi so bili oziroma bodo po drugih predpisih obveščeni: ________________.

7. člen — Priloge

Temu obvestilu so priložene dodatne informacije o kršitvi kot obvezna priloga ter:

________________

8. člen — Kraj, datum in podpis

Kraj in datum: ________________, ________________.

Obvestilo podpisuje ________________ za upravljavca ________________.

To obvestilo se naslovi na Informacijskega pooblaščenca, Dunajska cesta 22, 1000 Ljubljana, ali na elektronski naslov prijava-krsitev@ip-rs.si.

Za upravljavca

Datum

Ta dokument je bil brezplačno ustvarjen na spletni strani javnipodatki.si.

Opozorila k tej listini — preberite pred uporabo
  • Rok 72 ur teče od zaznave kršitve. Če v tem času ni mogoče zagotoviti vseh informacij, se v roku odda vsaj obvestilo o zaznani kršitvi, preostalo pa po fazah in brez odlašanja, z obrazložitvijo zamude (33. člen, četrti odstavek Splošne uredbe).
  • Obveščanje posameznikov po 34. členu Splošne uredbe je ločena presoja z višjim pragom — veliko tveganje. Tudi če upravljavec oceni, da tega praga ni, lahko Informacijski pooblaščenec po preučitvi obvestila naloži, da posameznike obvesti.
  • Vsako kršitev varnosti osebnih podatkov je treba dokumentirati in hraniti v lastni evidenci ne glede na stopnjo tveganja, tudi kadar obveščanje nadzornega organa ni obvezno (uradni obrazec IP, razdelek Ocena tveganja).
  • Obrazec obvestila o kršitvi varnosti osebnih podatkov ni predpisan; predpisana je vsebina obvestila iz tretjega odstavka 33. člena Splošne uredbe. Ta listina sledi razdelkom obrazca, ki ga objavlja Informacijski pooblaščenec.
  • Neobveščanje nadzornega organa, ko je to potrebno, je samostojna kršitev, za katero je predpisana globa do 10 milijonov evrov oziroma do 2 % letnega prometa (83. člen Splošne uredbe v zvezi z 95. členom ZVOP-2); odgovorno osebo lahko doleti globa od 100 do 5.000 eurov (96. člen ZVOP-2).
  • V obvestilo ne vpisujte osebnih podatkov prizadetih posameznikov. Vrste podatkov se navedejo opisno; konkretni podatki sodijo kvečjemu v prilogo, in še to le, kadar jih nadzorni organ zahteva.

Uradno obvestilo o kršitvi varnosti osebnih podatkov

1. člen — Upravljavec in kontaktna oseba

Upravljavec: ________________, ________________.

Kontaktna oseba, ki ima informacije o kršitvi: ________________, elektronski naslov ________________, telefon ________________.

Pooblaščena oseba za varstvo osebnih podatkov: ________________.

Upravljavec deluje v ________________.

2. člen — Opis kršitve

________________

Kršitev je nastala dne ________________ in je bila zaznana dne ________________.

Časovnica od zaznave do tega obvestila: ________________

Vrsta kršitve: ________________.

Narava kršitve: ________________. Vzrok za kršitev je ________________.

3. člen — Ocena tveganja

Upravljavec je pred oddajo tega obvestila izvedel oceno tveganja kršitve varnosti, pri čemer je upošteval verjetnost za nastanek posledic in resnost posledic za pravice in svoboščine posameznikov.

Ocena tveganja: ________________.

Pojasnilo ocene: ________________

Verjetne posledice kršitve za posameznike: ________________

4. člen — Obseg kršitve

Kategorije posameznikov, ki jih kršitev zadeva: ________________.

Vrste osebnih podatkov, ki jih kršitev zadeva: ________________

Posebne vrste osebnih podatkov: ________________.

Približno število posameznikov, ki jih kršitev zadeva: ________________.

Evidence oziroma zbirke osebnih podatkov, ki jih kršitev zadeva: ________________.

5. člen — Ukrepi za zagotavljanje varnosti osebnih podatkov

Ukrepi, sprejeti pred kršitvijo: ________________

Ukrepi, sprejeti po kršitvi za odpravo posledic in ublažitev tveganj: ________________

6. člen — Obveščanje drugih organov

O kršitvi so bili oziroma bodo po drugih predpisih obveščeni: ________________.

7. člen — Priloge

Temu obvestilu so priložene dodatne informacije o kršitvi kot obvezna priloga ter:

________________

8. člen — Kraj, datum in podpis

Kraj in datum: ________________, ________________.

Obvestilo podpisuje ________________ za upravljavca ________________.

To obvestilo se naslovi na Informacijskega pooblaščenca, Dunajska cesta 22, 1000 Ljubljana, ali na elektronski naslov prijava-krsitev@ip-rs.si.

Za upravljavca

Datum

Ta dokument je bil brezplačno ustvarjen na spletni strani javnipodatki.si.

Na kratko

  • Obvestilo nadzornemu organu je obvezno, kadar je verjetno, da kršitev ogroža pravice in svoboščine posameznikov (Splošna uredba, 33. člen).
  • Rok je brez odlašanja, najpozneje 72 ur po zaznani kršitvi; zamudo je treba v obvestilu obrazložiti (Splošna uredba, 33. člen, prvi odstavek).
  • Obvestilo mora vsebovati opis kršitve, kategorije in približno število posameznikov ter evidenc, kontakt pooblaščene osebe, verjetne posledice in sprejete ukrepe (Splošna uredba, 33. člen, tretji odstavek).
  • Kadar v 72 urah vseh podatkov še ni, se informacije posredujejo po fazah, a brez odlašanja (Splošna uredba, 33. člen, četrti odstavek).
  • Kadar je verjetno veliko tveganje za posameznike, jih mora upravljavec o kršitvi obvestiti tudi neposredno (Splošna uredba, 34. člen).
  • Obdelovalec ne obvešča nadzornega organa, temveč nemudoma obvesti upravljavca; ta obveznost mora biti tudi v pogodbi o obdelavi (Splošna uredba, 28. člen).
  • Za opustitev obveščanja je predpisana globa do 10 milijonov evrov oziroma do 2 % letnega prometa (Splošna uredba, 83. člen, četrti odstavek, v zvezi z 95. členom ZVOP-2).
  • Obrazec se naslovi na Informacijskega pooblaščenca, Dunajska cesta 22, 1000 Ljubljana, ali na prijava-krsitev@ip-rs.si (uradni obrazec IP).

Pravne podlage in uradni viri

Razdelki obvestila izhajajo iz spodaj navedenih predpisov in iz obrazca, ki ga objavlja Informacijski pooblaščenec.

Povezava na prvotno objavo zakona ne vključuje nujno poznejših sprememb. Pred uporabo preverite trenutno veljavno besedilo in datum uporabe v Pravno-informacijskem sistemu Republike Slovenije. Datum posodobitve te strani ni potrdilo o pravni ustreznosti za vaš primer.

  • Splošna uredba o varstvu podatkov (GDPR), 33. člen, prvi odstavek

    Upravljavec o kršitvi varnosti osebnih podatkov obvesti nadzorni organ brez odlašanja, najpozneje v 72 urah po zaznani kršitvi, razen če ni verjetno, da bi bile s kršitvijo ogrožene pravice in svoboščine posameznikov. Zamudo je treba obrazložiti.

  • Splošna uredba o varstvu podatkov (GDPR), 33. člen, tretji odstavek

    Obvestilo vsebuje najmanj: opis vrste kršitve ter kategorije in približno število posameznikov in evidenc osebnih podatkov, ki jih kršitev zadeva; kontaktne podatke pooblaščene osebe za varstvo podatkov; opis verjetnih posledic kršitve; opis sprejetih ali predlaganih ukrepov za ublažitev tveganj.

  • Splošna uredba o varstvu podatkov (GDPR), 33. člen, četrti odstavek

    Kadar vseh informacij ni mogoče zagotoviti hkrati, se posredujejo po fazah, vendar brez nadaljnjega odlašanja. V 72 urah je treba podati vsaj informacijo o zaznani kršitvi.

  • Splošna uredba o varstvu podatkov (GDPR), 34. člen

    Kadar je verjetno, da kršitev povzroči veliko tveganje za pravice in svoboščine posameznikov, upravljavec o njej brez odlašanja obvesti tudi posameznike, in sicer v jasnem in preprostem jeziku, z opisom kršitve, kontaktom, posledicami in ukrepi. Nadzorni organ lahko obveščanje posameznikov naloži.

  • Splošna uredba o varstvu podatkov (GDPR), 28. člen

    Obdelovalec mora upravljavca obvestiti o vsaki kršitvi takoj, ko jo zazna, in mu zagotoviti vse informacije za oceno tveganja. Ta obveznost mora biti zapisana tudi v pogodbi o pogodbeni obdelavi.

  • Splošna uredba o varstvu podatkov (GDPR), 83. člen, četrti odstavek

    Neobveščanje nadzornega organa, ko je to potrebno, je samostojna kršitev, za katero je predpisana globa do 10 milijonov evrov oziroma do 2 % letnega prometa.

  • Zakon o varstvu osebnih podatkov (ZVOP-2), 95. člen

    Sankcije za kršitve, ki jih predpisuje Splošna uredba, se pravnim osebam, samostojnim podjetnikom posameznikom in posameznikom, ki samostojno opravljajo dejavnost, izrekajo kot globe za prekrške, v višini in razponih, kot jih določa Splošna uredba.

  • Zakon o varstvu osebnih podatkov (ZVOP-2), 96. člen, prvi odstavek

    Z globo od 100 do 5.000 eurov se kaznuje odgovorna oseba pravne osebe, samostojnega podjetnika posameznika ali posameznika, ki samostojno opravlja dejavnost, če krši obveznosti upravljavca ali obdelovalca iz 25. do 39. člena Splošne uredbe; med te spadata 33. in 34. člen.

  • Zakon o varstvu osebnih podatkov (ZVOP-2), 23. člen

    Za informacijske sisteme s posebnimi obdelavami, naštetimi v prvem odstavku, se smiselno uporabljajo določbe o varnostnih zahtevah in priglasitvi incidentov iz zakona, ki ureja informacijsko varnost. Informacijski pooblaščenec ta člen navaja kot določbo ZVOP-2, upoštevno pri kršitvah varnosti.

  • Uradni obrazec Informacijskega pooblaščenca: Uradno obvestilo o kršitvi varnosti osebnih podatkov

    Obrazec ima razdelke: upravljavec in kontaktna oseba, obdelovalec, vrsta obvestila, opis kršitve, ocena tveganja, obseg kršitve, ukrepi pred in po kršitvi, obveščanje posameznikov, mednarodni element, obveščanje drugih organov, kraj, datum in podpis ter popis prilog. Priloga 1 je obvezna, Priloga 2 pri čezmejni kršitvi. V nogi obrazca je zapisano, da obrazec ni predpisan.

Pogosta vprašanja

Ali obstaja uraden obrazec za prijavo kršitve varnosti osebnih podatkov?

Da, Informacijski pooblaščenec objavlja obrazec 'Uradno obvestilo o kršitvi varnosti osebnih podatkov' v obliki DOC in PDF. Obrazec sam pove, da ni predpisan — predpisana je vsebina obvestila iz tretjega odstavka 33. člena Splošne uredbe, ne njegova oblika.

V kakšnem roku moram obvestiti Informacijskega pooblaščenca?

Brez odlašanja, najpozneje v 72 urah po tem, ko ste kršitev zaznali. Če v tem času še nimate vseh podatkov, v roku oddate vsaj obvestilo o zaznani kršitvi, izsledke notranje preiskave pa posredujete kasneje in razlog za zamudo posebej obrazložite.

Koliko stane prijava kršitve?

Nič. Obveščanje nadzornega organa o kršitvi varnosti osebnih podatkov je zakonska obveznost upravljavca in ni vezano na plačilo takse. Tudi ta obrazec je brezplačen in brez registracije.

Ali moram prijaviti vsako kršitev?

Ne. Obvestiti je treba, kadar je verjetno, da kršitev ogroža pravice in svoboščine posameznikov. Če ocenite, da je tveganje nizko, obveščanje ni obvezno, morate pa biti sposobni svojo oceno utemeljiti, zato je vsako kršitev treba dokumentirati in hraniti v lastni evidenci.

Ali moram o kršitvi obvestiti tudi posameznike?

Samo takrat, kadar je verjetno, da kršitev povzroči veliko tveganje za njihove pravice in svoboščine. To je višji prag od tistega za obveščanje nadzornega organa. Če Informacijski pooblaščenec po preučitvi obvestila oceni drugače, vam lahko obveščanje posameznikov naloži.

Ali mora obvestilo kdo overiti?

Ne. Overitve ni; obvestilo podpiše zakoniti zastopnik upravljavca ali oseba, ki jo ta pooblasti, in se pošlje po pošti ali na elektronski naslov Informacijskega pooblaščenca za prijavo kršitev.

Kdo obvešča, kadar se kršitev zgodi pri pogodbenem obdelovalcu?

Upravljavec. Obdelovalec mora o kršitvi takoj, ko jo zazna, obvestiti upravljavca in mu dati vse podatke za oceno tveganja, uradno obvestilo nadzornemu organu pa poda upravljavec.

Kaj velja, če kršitev zadeva posameznike v več državah?

Takrat gre lahko za čezmejno kršitev in Informacijski pooblaščenec ni nujno vodilni nadzorni organ. Uradni obrazec v takem primeru zahteva, da se izpolni in priloži Priloga 2 'Čezmejna kršitev varnosti osebnih podatkov'.

Sorodni dokumenti

Vsebina nazadnje posodobljena . Več dokumentov v rubriki Interni akti podjetja.